Генератор и проверка паролей: как в Chrome или для телефона

Проверка пароля

Введите пароль, чтобы увидеть оценку того, насколько его сложно угадать. Он остаётся на этой странице: ничего не отправляется и не сохраняется. Лучше проверять пароль того же типа, что вы используете, а не настоящий.

Это оценка для пароля, выбранного случайно из используемых в нём символов, сниженная за повторы, последовательности, ряды клавиатуры и 10 000 самых частых паролей. Пароль из слов, имён или дат намного слабее, чем показывает число. Время указано для злоумышленника, у которого есть украденный хеш и который перебирает 10 миллиардов паролей в секунду. Сайт, ограничивающий число попыток, делает это время намного больше. Это не полноценная проверка вроде zxcvbn.

Генератор и проверка паролей

Эта страница создаёт пароль в вашем браузере с помощью защищённых случайных чисел браузера (crypto.getRandomValues), поэтому пароль никогда не отправляется на сервер, и его не может увидеть никто другой. Есть три типа пароля, потому что хороший пароль для менеджера паролей и хороший пароль, который нужно набирать руками на телефоне, — это не одно и то же.

Случайный пароль

Выберите длину и виды символов. Генератор ставит хотя бы один символ каждого выбранного вида и перемешивает их без смещения. Опция «Без похожих символов» убирает 0, O, 1, l, I и |, что полезно, когда пароль нужно прочитать с бумаги или экрана. Для важного аккаунта берите 16 символов и больше и доверьте пароль менеджеру паролей.

Пароль как в Chrome

Когда вы нажимаете на поле пароля в форме регистрации, Chrome предлагает надёжный пароль. Правило открыто, оно есть в исходном коде Chromium: по умолчанию 15 символов из строчных и заглавных букв, цифр и символов - _ . : !, причём есть хотя бы одна строчная буква, одна заглавная и одна цифра. Chrome не использует похожие символы (0, 1, l, I, O). Этот генератор следует тому же алфавиту и тому же правилу, поэтому такой пароль можно создать где угодно, в том числе когда Chrome его не предлагает. Это около 89 бит, что намного больше, чем нужно сайту.

Пароль, который легко набрать на телефоне

Надёжный пароль трудно набирать руками на телефоне: для заглавных букв нужен Shift, для цифр и символов — другая страница клавиатуры, а одна ошибка не видна за точками. Предложение менеджера паролей или Chrome хорошо, когда пароль подставляется за вас, и неудобно, когда его нужно набрать на телевизоре, приставке или новом телефоне.

Третий тип составляет пароль из слогов, каждый из которых — согласная и гласная (kuvobi@tazemu@nipefo). Таких слогов 70, поэтому каждый слог добавляет около 6,1 бита, как случайный символ из набора в 70. Вы набираете буквы и почти без знаков, пароль можно прочитать вслух и запомнить по звучанию. Десять слогов с двумя цифрами, заглавной буквой и символом — около 69 бит, а 15 слогов — около 92 бит, столько же, сколько у 15 символов Chrome. Цена — длина: 30 букв вместо 15 символов, но без Shift и переключения клавиатуры. Счётчик под паролем показывает, сколько символов требуют Shift или другой страницы клавиатуры.

Правила регистрации на сайтах

Большинство форм регистрации требуют одного и того же: минимальную длину, заглавные и строчные буквы, цифру и символ. Например, Proton Mail требует не меньше 8 символов (рекомендует 12), заглавные и строчные буквы, цифры и символы, причём достаточно одного символа. Пароль для телефона создан так, чтобы это выполнялось: первая буква заглавная, цифры в конце, символ между словами и только латинские буквы. Символы только @, # и $: их проще всего найти на клавиатуре Android-телефона и компьютера. Если отключить символ, его не будет, а блок под паролем покраснеет и подскажет, чего не хватает. В проверке паролей есть строка с теми же правилами.

Проверка пароля

Введите пароль в проверку. Она покажет длину, виды символов, сколько бит имел бы случайный пароль такого вида и за какое время перебирается половина всех таких паролей при 10 миллиардах попыток в секунду (атака на украденную базу хешей). Оценка снижается за повторы, последовательности вроде abcd и 1234, ряды клавиатуры вроде qwerty и за 10 000 самых частых паролей, в том числе с добавленными цифрами (Password1). Список загружается, когда вы начинаете вводить.

Это оценка, а не обещание. Пароль из слов, имён или дат намного слабее, чем показывает число, а проверка не может знать вашу дату рождения. Не проверяйте пароль, которым действительно пользуетесь: проверьте такой же по типу.

Как сменить пароль в Linux

Чтобы сменить свой пароль, откройте терминал и выполните passwd. Команда запросит текущий пароль, а затем дважды новый. Чтобы сменить пароль другого пользователя, выполните её от имени root:

sudo passwd username

Полезные варианты:

• sudo passwd -e username делает пароль просроченным, и при следующем входе пользователь должен выбрать новый.
• sudo passwd -l username блокирует учётную запись, а sudo passwd -u username разблокирует её.
• echo "username:newpassword" | sudo chpasswd задаёт пароль в скрипте. Тогда пароль остаётся в истории оболочки и в списке процессов, поэтому используйте это только для временного пароля, который пользователь сразу же сменит.
• В macOS команда passwd в Терминале работает так же. В Windows net user username * запрашивает новый пароль, не показывая его.

Создайте новый пароль здесь и вставьте его в запрос: терминал ничего не показывает при вводе, поэтому длинный пароль легко набрать с ошибкой.

«Проверьте пароль и повторите попытку»

Это сообщение говорит, что данные для входа не подошли, и намеренно никогда не уточняет, что именно неверно. Обычные причины:

• Включён Caps Lock или раскладка клавиатуры не та, что вы думаете (кириллица вместо латиницы). Включите «Показать пароль» в поле, если там есть такая опция.
• Вместе с паролем скопировался пробел в начале или в конце.
• Пароль сменили на другом устройстве, а браузер или почтовая программа всё ещё отправляют старый. Обновите его в сохранённых паролях.
• Для почтового аккаунта: программа использует пароль аккаунта, а сервис требует пароль приложения, потому что включена двухэтапная проверка.
• Аккаунт заблокирован после слишком большого числа попыток. Подождите или сбросьте пароль по ссылке «Забыли пароль».

Ограничения

• Проверка — это оценка, а не полноценная проверка вроде zxcvbn: она не знает слов, имён и дат.
• Правила Proton Mail — это правила его формы регистрации на момент написания, сайт может их изменить.
• Слоги состоят из 14 согласных и 5 гласных, выбранных так, чтобы их было легко читать и произносить. Случайно они могут сложиться в слово какого-нибудь языка.
• Для мастер-пароля менеджера паролей лучше длинный пароль из слогов или слов, который вы можете запомнить, чем короткий с символами.
• Чтобы получить хеш пароля, используйте генератор хешей.